Privacy bij online casino's: wat gebeurt er met je persoonsgegevens?

Een online casino kan veel meer over je weten dan je naam en e-mailadres. Stortingen, speeltijden, identiteitscontroles en gesprekken met de klantenservice kunnen samen een uitgebreid spelersdossier vormen. Een deel daarvan is nodig om wettelijke verplichtingen na te komen. Voor andere toepassingen, zoals reclame, gelden andere voorwaarden. Privacy bij online casino’s begint daarom met drie vragen: welke gegevens worden verzameld, waarvoor worden ze gebruikt en wanneer worden ze verwijderd?

Welke persoonsgegevens verzamelen goksites?

Welke gegevens een aanbieder precies verwerkt, hangt af van de dienstverlening en de controles die nodig zijn. Meestal gaat het om verschillende categorieën:

• Accountgegevens: naam, geboortedatum, adres, e-mailadres en telefoonnummer.
• Identiteitsgegevens: gegevens uit je identiteitsbewijs en de uitkomst van verificatiecontroles. Voor wettelijk voorgeschreven controles kan ook je BSN nodig zijn; daarvoor gelden afzonderlijke gebruiksregels.
• Financiële gegevens: rekeningnummer, stortingen, opnames en transactiegeschiedenis. Soms zijn aanvullende documenten nodig over inkomen of de herkomst van geld.
• Speelgegevens: gekozen spellen, inzetten, resultaten, speelduur, limieten en wijzigingen daarvan.
• Technische gegevens: IP-adres, apparaatkenmerken, inlogmomenten en gegevens uit cookies.
• Communicatie: e-mails, chats, klachten en eventuele gespreksopnamen.

Ook conclusies die een aanbieder over je trekt, kunnen persoonsgegevens zijn. Denk aan een risicoprofiel of een beoordeling van je speelgedrag. Het gaat dus niet alleen om informatie die je zelf in een formulier invult.

Waarom mogen aanbieders deze gegevens verwerken?

De Algemene verordening gegevensbescherming, de AVG, verlangt voor iedere verwerking een geldige grondslag. Een aanbieder moet bovendien kunnen uitleggen waarom de gegevens noodzakelijk zijn voor het genoemde doel.

Wettelijke controles en spelersbescherming

Nederlandse vergunninghouders moeten onder meer je identiteit en leeftijd controleren en nagaan of je in Cruks staat, het uitsluitregister voor kansspelen. Ook moeten zij speelgedrag volgen om signalen van problematisch gokken te herkennen en daarop te reageren.

Daarnaast gelden verplichtingen uit de Wet ter voorkoming van witwassen en financieren van terrorisme, de Wwft. Daardoor kunnen vragen over transacties of de herkomst van geld noodzakelijk zijn.

Die verplichtingen geven geen onbeperkte ruimte om informatie op te vragen. De omvang van een controle moet passen bij het doel en de toepasselijke regels.

Accountbeheer, beveiliging en toestemming

Gegevens die noodzakelijk zijn om je account te beheren of een uitbetaling uit te voeren, kunnen worden verwerkt voor de uitvoering van de overeenkomst. Voor bepaalde beveiligingsmaatregelen kan een gerechtvaardigd belang gelden. Daarvoor moet de aanbieder onder meer de noodzaak aantonen en jouw privacybelangen meewegen.

Voor trackingcookies is voorafgaande toestemming nodig. Die toestemming moet je ook weer kunnen intrekken. Voor noodzakelijke functionele cookies gelden andere regels.

Een vinkje waarmee je de privacyverklaring accepteert, vormt geen algemene toestemming voor ieder mogelijk gebruik van je gegevens.

Wie krijgt toegang tot je gegevens?

Een aanbieder kan samenwerken met betaaldienstverleners, identiteitscontroleurs, hostingbedrijven en leveranciers van klantenservicesoftware. Ook kunnen gegevens onder wettelijke voorwaarden bij toezichthouders of andere bevoegde instanties terechtkomen.

De privacyverklaring moet ontvangers of categorieën van ontvangers beschrijven. Alleen “wij delen gegevens met partners” geeft weinig inzicht. Zoek naar uitleg over hun werkzaamheden en welke gegevens daarvoor nodig zijn.

Let ook op doorgifte buiten de Europese Economische Ruimte, de EER. De verklaring moet duidelijk maken of daarvan sprake is en hoe de vereiste bescherming wordt geregeld. Een Nederlandstalige website zegt op zichzelf weinig over waar gegevens worden verwerkt.

Hoelang blijven persoonsgegevens bewaard?

De AVG kent geen algemene bewaartermijn voor alle spelersgegevens. Gegevens mogen niet langer worden bewaard dan noodzakelijk, tenzij een wettelijke verplichting een bepaalde termijn voorschrijft.

Voor bepaalde gegevens uit het Wwft-cliëntenonderzoek geldt bijvoorbeeld een bewaarplicht van vijf jaar na het beëindigen van de zakelijke relatie. Voor andere gegevens kunnen andere termijnen gelden.

Je account sluiten betekent daardoor niet automatisch dat je hele dossier verdwijnt. Vraag welke gegevens achterblijven, op welke wettelijke basis en tot wanneer. Een wettelijke bewaarplicht rechtvaardigt bovendien geen onbeperkt gebruik voor andere doelen. Gegevens die voor Wwft-verplichtingen zijn verzameld, mogen niet voor commerciële doeleinden worden verwerkt.

Welke rechten heb je onder de AVG?

Je kunt verschillende rechten gebruiken om controle te houden over de persoonsgegevens die goksites verwerken:

• Inzage: je kunt een kopie van je persoonsgegevens vragen, met informatie over het gebruik ervan. Daaronder kunnen ook vastgelegde beoordelingen over jou vallen.
• Rectificatie: onjuiste gegevens kun je laten verbeteren; onvolledige gegevens kun je laten aanvullen.
• Verwijdering: je kunt gegevens laten wissen wanneer daarvoor aan de voorwaarden is voldaan. Een wettelijke bewaarplicht kan verwijdering verhinderen.
• Beperking: in bepaalde situaties kun je vragen het gebruik tijdelijk te beperken, bijvoorbeeld terwijl de juistheid van gegevens wordt onderzocht.
• Bezwaar: tegen verwerking op basis van een gerechtvaardigd belang kun je vanwege jouw persoonlijke situatie bezwaar maken. Tegen direct marketing kun je altijd bezwaar maken, inclusief bijbehorende profilering.
• Intrekken van toestemming: dit kan voor toekomstige verwerking die op jouw toestemming berust.
• Dataportabiliteit: onder voorwaarden kun je verstrekte gegevens in een bruikbaar digitaal formaat ontvangen. Dit geldt bij geautomatiseerde verwerking op basis van toestemming of een overeenkomst.

Deze rechten hebben ieder hun eigen voorwaarden. Een verwijderverzoek en een bezwaar tegen reclame hebben bijvoorbeeld verschillende gevolgen.

Checklist: zo beoordeel je een privacyverklaring

Lees de verklaring bij voorkeur voordat je documenten uploadt. Controleer deze punten:

1. Wie is verantwoordelijk? Zoek de juridische bedrijfsnaam en contactgegevens. Vergelijk die met de informatie bij je account en de vergunning.
2. Welke gegevens worden gebruikt? Let ook op technische gegevens, externe bronnen en afgeleide spelersprofielen.
3. Zijn doelen en grondslagen concreet? “Voor een betere dienstverlening” verklaart onvoldoende waarom een uitgebreid financieel dossier nodig zou zijn.
4. Wie ontvangt de gegevens? Controleer de soorten dienstverleners en eventuele doorgifte buiten de EER.
5. Zijn bewaartermijnen begrijpelijk? Zoek termijnen per categorie, of duidelijke criteria waarmee de termijn wordt bepaald.
6. Kun je keuzes aanpassen? Bekijk hoe je trackingtoestemming intrekt en reclame stopzet.
7. Kun je je rechten eenvoudig gebruiken? Zoek een bereikbaar privacycontact en, indien aanwezig, de functionaris gegevensbescherming.

Bewaar bij een concreet geschil ook een gedateerde kopie van de verklaring. Daarmee kun je later terugvinden welke informatie je destijds kreeg.

Hoe dien je een inzageverzoek in?

Je hoeft niet uit te leggen waarom je inzage wilt. De uitleg van de Autoriteit Persoonsgegevens over het recht op inzage beschrijft wat je kunt opvragen en hoe de organisatie moet reageren.

Stuur je verzoek naar het privacycontact van de aanbieder, bij voorkeur vanuit het e-mailadres van je account. Vermeld je klantnummer als je dat hebt. Je kunt bijvoorbeeld schrijven:

Onderwerp: verzoek om inzage op grond van artikel 15 AVG

Hierbij verzoek ik om inzage in en een kopie van alle persoonsgegevens die u over mij verwerkt. Mijn klantnummer is [klantnummer].

Ik ontvang graag ook mijn speel- en transactiegegevens, communicatie, vastgelegde beoordelingen en eventuele spelersprofielen. Daarnaast ontvang ik informatie over de verwerkingsdoelen, herkomst, ontvangers, bewaartermijnen en eventuele doorgifte buiten de EER.

Graag ontvang ik de gegevens digitaal via een beveiligde methode.

Bewaar je verzoek en de ontvangstbevestiging. Controleer vervolgens of het antwoord ook de gevraagde categorieën bevat.

Identiteitscontrole en reactietermijn

De aanbieder moet voorkomen dat je dossier bij iemand anders belandt. Voor een privacyverzoek mag hij echter niet standaard een nieuwe kopie van je identiteitsbewijs eisen. Vraag bij aanvullende identificatie waarom die nodig is en welke minder ingrijpende mogelijkheden bestaan. Dit staat los van wettelijke identificatieverplichtingen voor het spelersaccount.

In beginsel moet je binnen één maand antwoord krijgen. Bij complexe of meerdere verzoeken kan de termijn met maximaal twee maanden worden verlengd; de aanbieder moet dat binnen de eerste maand gemotiveerd melden. Als noodzakelijke informatie voor identiteitsbevestiging ontbreekt, kan de behandeling worden opgeschort.

Blijft een antwoord uit of ontbreken gegevens, benoem dan schriftelijk wat je mist. Vraag bij een weigering om de reden. Je kunt vervolgens een klacht indienen bij de Autoriteit Persoonsgegevens, met je oorspronkelijke verzoek en de correspondentie als onderbouwing.